Trusted Extensions 中的无显示系统配置（任务列表）

在无显示系统上，控制台通过串行线路连接到终端仿真窗口。通常会使用 tip 命令来确保线路的安全。根据可用的另一系统的类型，可以使用下列方法之一来配置无显示系统。下表中按照安全性从高到低的顺序列出了这些方法。这些说明也适用于远程系统。

在 Trusted Extensions 中，以 root 用户身份启用远程登录

与在 Solaris OS 中一样，当 CONSOLE 登录被禁用时，root 可以从有标签系统远程登录。

如果您打算通过编辑本地文件来管理远程系统，请使用以下过程。

1. 在可信编辑器中，注释掉 /etc/default/login 文件中的 CONSOLE= 行。

   # /usr/dt/bin/trusted_edit /etc/default/login

   编辑后的行显示如下：

   #CONSOLE=/dev/console

2. 允许 root 用户通过 ssh 连接进行登录。

   修改 /etc/ssh/sshd_config 文件。缺省情况下，ssh 在 Solaris 系统上处于启用状态。

   # /usr/dt/bin/trusted_edit /etc/ssh/sshd_config

   编辑后的行显示如下：

   PermitRootLogin yes

接下来的步骤

要以 root 用户身份从无标签系统登录，还必须完成启用从无标签系统进行的远程登录。

要以某个角色启用远程登录，请继续执行在 Trusted Extensions 中以某个角色启用远程登录。

在 Trusted Extensions 中以某个角色启用远程登录

仅当您必须通过 rlogin 或 ssh 命令管理无显示系统时，才需执行此过程。

可以远程调试配置错误。

开始之前

如果您使用本地文件来管理远程系统，并且已完成了在 Trusted Extensions 中，以 root 用户身份启用远程登录。那么，请以 root 用户身份在两个系统上都执行以下任务。

1. 在两个系统上，互相将对方标识为有标签系统。

   桌面系统和无显示系统必须互相标识为使用相同的安全模板。有关过程，请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"如何将安全模板指定给向一台主机或一组主机"。

   要指定临时标签，请参见示例 6-1。

2. 在两个系统上，创建相同的用户和角色。

   名称和 ID 必须相同，并且必须为这两个系统上的同一用户指定同一角色。要创建用户和角色，请参见在 Trusted Extensions 中创建角色和用户。

3. 要联系远程 Solaris Management Console，请在两个系统上执行以下操作：
   1. 将对方系统的主机名和 IP 地址添加到 /etc/hosts 文件中。

      # /usr/dt/bin/trusted_edit /etc/hosts

      127.0.0.1    localhost    
      192.168.66.66    local-system-name    loghost
      192.168.66.12    remote-system-name

   2. 要允许远程角色担任，请修改 pam.conf 文件以放宽 PAM 策略。
      1. 将 /etc/pam.conf 文件复制为 /etc/pam.conf.orig。

         # cp /etc/pam.conf /etc/pam.conf.orig

      2. 在可信编辑器中，打开 pam.conf 文件。

         # /usr/dt/bin/trusted_edit /etc/pam.conf

      3. 复制帐户管理下的缺省条目。
      4. 在每个复制的条目中，将 other 更改为 smcconsole。
      5. 向复制的 pam_roles.so.1 条目添加 allow_remote。

         在字段之间使用 Tab 键。现在，此部分将显示如下：

         # Solaris Management Console definition for Account management
         #
         smcconsole   account requisite   pam_roles.so.1   allow_remote
         smcconsole   account required    pam_unix_account.so.1
         smcconsole   account required    pam_tsol_account.so.1
         
         # Default definition for Account management
         # Used when service name is not explicitly mentioned for account management
         #
         other   account requisite    pam_roles.so.1
         other   account required     pam_unix_account.so.1
         other   account required     pam_tsol_account.so.1

      6. 保存文件后退出编辑器。
      7. 可选将文件复制为 /etc/pam.conf.site。

         # cp /etc/pam.conf /etc/pam.conf.site

         如果要将系统升级到更高的发行版，则随后必须评估是否应将 /etc/pam.conf.site 中的更改复制到 pam.conf 文件中。

示例 6-1 创建 ProductShort; 主机类型的临时定义

在本示例中，管理员想在设置主机类型定义之前开始配置远程 ProductShort; 系统。为此，管理员在远程系统上使用 tnctl 命令来临时定义桌面系统的主机类型：

remote-TX# tnctl -h desktop-TX:cipso

然后，管理员想要从尚未配置 ProductShort; 的桌面系统连接到远程 ProductShort; 系统。在本例中，管理员在远程系统上使用 tnctl 命令将桌面系统的主机类型临时定义为从 ADMIN_LOW 标签运行的无标签系统：

remote-TX# tnctl -h desktop-TX:admin_low

启用从无标签系统进行的远程登录

开始之前

此过程不安全。

如在 Trusted Extensions 中以某个角色启用远程登录中所述，您已放宽 PAM 策略以允许远程角色担任。

1. 在可信系统上，向无标签系统应用合适的安全模板。

   ---

   注意 - 使用缺省设置时，另一无标签系统可以登录和管理远程系统。因此，您必须将 0.0.0.0 网络缺省值从 ADMIN_LOW 更改为一个不同的标签。有关过程，请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"如何限定可能会在可信网络上联系的主机"。

   ---

2. 在可信编辑器中，打开 /etc/pam.conf 文件。

   # /usr/dt/bin/trusted_edit /etc/pam.conf

3. 找到 smcconsole 条目。
4. 将 allow_unlabeled 添加到 tsol_account 模块。

   在字段之间使用 Tab 键。

   smcconsole   account required  pam_tsol_account.so.1 allow_unlabeled

   编辑之后，此部分将显示如下：

   # Solaris Management Console definition for Account management
   #
   smcconsole  account  requisite      pam_roles.so.1    allow_remote
   smcconsole  account  required       pam_unix_account.so.1
   smcconsole  account  required       pam_tsol_account.so.1 allow_unlabeled

使用远程 Solaris Management Console 在文件范围内进行管理

如果未使用 LDAP，并且希望在远程系统上使用 Solaris Management Console，请启用到控制台的远程连接。此过程不足以启用 LDAP 范围的访问。

要启用 LDAP 范围的访问，必须完成为 LDAP 配置 Solaris Management Console（任务列表）中的所有过程。

开始之前

两个系统都是有标签的系统。

您已完成以下过程：

• 在 Trusted Extensions 中初始化 Solaris Management Console 服务器

• 在 Trusted Extensions 中以某个角色启用远程登录

1. 完成使 Solaris Management Console 接受网络通信。
2. 在桌面系统上，成为在两个系统上具有相同定义的用户。
3. 在桌面系统上，担任在两个系统上具有相同定义的角色。
4. 在桌面系统上，启动 Solaris Management Console。

   # /usr/sbin/smc &

5. 在 "Server"（服务器）对话框中，键入无显示系统的名称。

   然后，选择 Scope=Files 工具箱。

   This Computer (remote-system: Scope=Files, Policy=TSOL)

启用管理 GUI 的远程显示

用于在桌面上启用远程显示的过程与在未配置 ProductShort; 的 Solaris 系统上使用的过程相同。为方便起见，下面提供了该过程。

1. 在桌面系统上，使来自无显示系统的进程得以显示。
   1. 使无显示系统能够访问桌面系统上的 X 服务器。

      desktop $ xhost + headless-host

   2. 确定桌面的 DISPLAY 变量的值。

      desktop $ echo $DISPLAY
      :n.n

2. 在无显示系统上，将 DISPLAY 变量设置为桌面系统。

   headless $ DISPLAY=desktop:n.n
   headless $ export DISPLAY=n:n

在 Trusted Extensions 中使用 rlogin 或 ssh 命令登录和管理无显示系统

在此过程中，您可以使用命令行和 txzonemgr GUI 以超级用户或某个角色的身份管理无显示系统。

使用 Solaris Management Console 管理远程系统不需要使用远程登录命令。有关过程，请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"如何从 Trusted Extensions 系统使用 Solaris Management Console 来远程管理系统"。

开始之前

已完成在 Trusted Extensions 中以某个角色启用远程登录。

您是可以使用该同一用户名和用户 ID 登录到无显示系统的用户，您可以在无显示系统上担任与桌面系统上相同的角色。

1. 在桌面系统上，使来自无显示系统的进程得以显示。

   desktop $ xhost + headless-host
   desktop $ echo $DISPLAY
   :n.n

2. 确保您是在这两个系统上具有相同定义的用户。
3. 从一个终端窗口，远程登录到无显示系统。
   • 使用 ssh 命令登录：

     desktop $ ssh -l identical-username headless
     Password: Type the user's password
     headless $

   • 或者，使用 rlogin 命令登录：

     desktop # rlogin headless
     Password: Type the user's password
     headless $

4. 担任在两个系统上具有相同定义的角色。

   使用同一终端窗口。例如，担任 root 角色。

   headless $ su - root
   Password: Type the root password

   您现在已在全局区域中。现在，您可以使用此终端从命令行管理无显示系统。

5. 使无显示系统上的进程显示在桌面系统上。

   ---

   注 - 通过使用 ssh -X 命令登录，还可以显示远程 GUI。有关更多信息，请参见 ssh(1) 手册页。有关示例，请参见示例 6-2。

   ---

   headless $  DISPLAY desktop:n.n
   headless $ export DISPLAY=n:n

   现在即可以使用 Trusted Extensions GUI 管理无显示系统。例如，启动 txzonemgr GUI：

   headless $ /usr/sbin/txzonemgr

   "Labeled Zone Manager"（有标签区域管理器）将在远程系统上运行，并显示在桌面系统上。

6. 可选访问 Trusted CDE 操作。

   要打开并安全关闭 Application Manager，请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"如何使用 dtappsession 来远程管理 Trusted Extensions"。

示例 6-2 配置无显示系统上的有标签区域

在本例中，管理员使用 txzonemgr GUI 从有标签桌面系统上配置有标签无显示系统上的有标签区域。与在 Solaris OS 中一样，管理员通过使用 ssh 命令及 -X 选项使 X 服务器能够访问桌面系统。用户 install1 在两个系统上具有相同的定义，可以担任角色 remoterole。

TXdesk1 $ xhost + TXnohead4
TXdesk1 $ whoami
install1

TXdesk1 $ ssh -X -l install1 TXnohead4
Password: Ins1PwD1
TXnohead4 $

为连接到全局区域，管理员担任了角色 remoterole。该角色在两个系统上具有相同的定义。

TXnohead4 # su - remoterole
Password: abcd1EFG

然后，管理员启动 txzonemgr GUI。

TXnohead4 $ /usr/sbin/txzonemgr &

"Labeled Zone Manager"（有标签区域管理器）将在无显示系统上运行，并显示在桌面系统上。